Mirai ボットネット攻撃からルーターを保護する方法

悪意のある攻撃者がサイバー攻撃を拡大するために使用する戦略は、ボットネットの使用です。

ボットネットは、マルウェアに感染し、悪意のある攻撃者によってリモート制御されているコンピューターのネットワークです。感染したコンピューターのグループを制御するこのような悪意のある攻撃者は、ボット ハーダーと呼ばれます。感染した個々のデバイスはボットと呼ばれます。

ボット ハーダーは感染したコンピューターのグループを指揮および制御し、より大規模なサイバー攻撃を実行できるようにします。ボットネットは、大規模なサービス拒否、フィッシング、スパム攻撃、データ盗難に顕著に使用されています。

デジタル デバイスをハイジャックして非常に大規模なボットネットを作成するマルウェアの例として、Mirai Botnet マルウェアがあります。 Mirai は、Linux を実行しているモノのインターネット (IoT) デバイスの脆弱性をターゲットにして悪用するボットネット マルウェアです。

感染すると、Mirai は IoT デバイスを乗っ取り、大規模なサイバー攻撃を開始するためのボットネットの一部として使用できる遠隔制御ボットに変えます。 Mirai は C と GO を使用して作成されました。

このマルウェアは、2016 年にドメイン ネーム システム プロバイダーである DYN に対する分散型サービス拒否 (DDOS) 攻撃に使用されて有名になりました。この攻撃により、インターネット ユーザーは Airbnb、Amazon、Twitter、Reddit、Paypal、Visa などのサイトにアクセスできなくなりました。

Mirai マルウェアは、サイバーセキュリティ サイト Krebs on Security やフランスのクラウド コンピューティング企業 OVHCloud に対する DDOS 攻撃にも関与していました。

ミライの誕生の経緯

Mirai マルウェアは、当時 20 代前半の学生であり、DDOS 軽減サービスを提供する会社 ProTraf Solutions の創設者でもあった Paras Jha と Josiah White によって作成されました。 Mirai Malware は、C および Go プログラミング言語を使用して作成されました。

当初、Mirai の目標は、DDOS 攻撃を使用して競合する Minecraft サーバーをダウンさせ、競合を排除してより多くの顧客を獲得することでした。

その後、ミライの利用は恐喝や恐喝に移りました。 2人は企業にDDOS攻撃を仕掛け、攻撃した企業にDDOSの緩和策を提案するよう連絡を取った。

Mirai Botnet は、Web サイト Krebs on Security とその OVH への攻撃を削除するために使用された後、当局とサイバー セキュリティ コミュニティの注目を集めました。 Mirai Botnet が見出しになり始めると、作成者は一般にアクセス可能なハッキング フォーラムで Mirai Botnet のソース コードを漏洩しました。

これはおそらく、彼らの痕跡を隠蔽し、Mirai Botnet を使用して行われた DDOS 攻撃の責任を逃れようとする試みであったと考えられます。 Mirai ボットネットのソース コードは他のサイバー犯罪者によって使用され、これにより、Okiru、Masta とSatori、PureMasuta などの Mirai ボットネットの亜種が作成されました。

しかし、Mirai ボットネットの作成者は後に FBI に逮捕されました。しかし、彼らは他のサイバー犯罪者の逮捕とサイバー攻撃の阻止においてFBIに協力したため、投獄されず、代わりに刑が軽くなった。

Mirai ボットネットの仕組み

Mirai Botnet による攻撃には次の手順が含まれます。

1. Mirai Botnet は、まずインターネット上の IP アドレスをスキャンして、Arc プロセッサ上で Linux を実行している IoT デバイスを特定します。次に、パスワードで保護されていないデバイス、またはデフォルトの認証情報を使用しているデバイスを識別してターゲットにします。
2. 脆弱なデバイスを特定すると、Mirai はさまざまな既知のデフォルトの認証情報を試して、そのデバイスへのネットワーク アクセスを取得しようとします。デバイスがデフォルト構成を使用している場合、またはパスワードで保護されていない場合、Mirai はデバイスにログインして感染します。
3. Mirai Botnet はデバイスをスキャンして、他のマルウェアに感染していないかどうかを確認します。感染している場合は、他のすべてのマルウェアを削除してデバイス上の唯一のマルウェアにし、デバイスに対する制御を強化します。
4. Mirai に感染したデバイスは Mirai ボットネットの一部となり、中央サーバーからリモート制御できるようになります。このようなデバイスは中央サーバーからのコマンドを待つだけです。
5. 感染したデバイスは、他のデバイスに感染するために使用されたり、Web サイト、サーバー、ネットワーク、またはインターネット上でアクセス可能なその他のリソースに対して大規模な DDOS 攻撃を実行するボットネットの一部として使用されます。

Mirai Botnet には、ターゲットにも感染にも適用されない IP 範囲が設定されていたことは注目に値します。これには、米国国防総省と米国郵政公社に割り当てられたプライベート ネットワークと IP アドレスが含まれます。

Miraiボットネットの標的となるデバイスの種類

Mirai Botnet の主なターゲットは、ARC プロセッサを使用する IoT デバイスです。 Mirai ボットの作成者の 1 人である Paras Jha 氏によると、Mirai ボットネットに感染して使用された IoT デバイスのほとんどはルーターでした。

ただし、Mirai Botnet の潜在的な被害者のリストには、ARC プロセッサを使用する他の IoT デバイスも含まれています。

これには、セキュリティ カメラ、ベビー モニター、サーモスタット、スマート TV などのスマート ホーム デバイス、フィットネス トラッカーや時計などのウェアラブル デバイス、血糖値モニターやインスリン ポンプなどの医療 IoT デバイスが含まれる可能性があります。 ARC プロセッサを使用する産業用 IoT デバイスや医療用 IoT デバイスも、Mirai ボットネットの被害を受ける可能性があります。

Mirai ボットネット感染を検出する方法

Mirai Botnet は攻撃がステルスになるように設計されているため、IoT デバイスが Mirai Botnet に感染していることを検出するのは簡単ではありません。ただし、検出するのは簡単ではありません。ただし、IoT デバイスで Mirai Botnet 感染の可能性を示す可能性がある次の指標を探してください。

• インターネット接続の遅延 – Mirai ボットネットは、IoT デバイスが DDOS 攻撃の開始に使用されるため、インターネットの速度を低下させる可能性があります。
• 異常なネットワーク トラフィック – ネットワーク アクティビティを定期的に監視している場合は、ネットワーク トラフィックが突然増加したり、見慣れない IP アドレスにリクエストが送信されていることに気づく場合があります。
• デバイスのパフォーマンスの低下 – IoT デバイスのパフォーマンスが最適ではない、またはシャットダウンや勝手に再起動するなどの異常な動作を示している場合は、Mirai 感染の可能性を示している可能性があります。
• デバイス構成の変更 – Mirai Botnet は、将来的にデバイスの悪用と制御を容易にするために、IoT デバイスの設定またはデフォルト構成を変更する可能性があります。 IoT デバイスの構成の変更に気づき、その変更に対して自分に責任がない場合、それは Mirai Botnet の感染の可能性を示している可能性があります。

デバイスが感染しているかどうかを知るために注意できる兆候はありますが、Mirai Botnet は検出が非常に困難な方法で作られているため、簡単に気付かない場合もあります。したがって、これに対処する最善の方法は、Mirai Botnet による IoT デバイスの感染を防ぐことです。

ただし、IoT デバイスが検出されたと思われる場合は、デバイスをネットワークから切断し、脅威が排除された後にのみデバイスを再接続してください。

Mirai Botnet 感染からデバイスを保護する方法

IoT デバイスに感染する際の Mirai Botnet の主な戦略は、一連のよく知られたデフォルト構成をテストして、ユーザーがまだデフォルト構成を使用しているかどうかを確認することです。

その場合、Mirai はログインしてデバイスに感染します。したがって、IoT デバイスを Mirai Botnet から保護するための重要な手順は、デフォルトのユーザー名とパスワードの使用を避けることです。

必ず資格情報を変更し、簡単に推測できないパスワードを使用してください。ランダム パスワード ジェネレーターを使用して、推測できない一意のパスワードを取得することもできます。

実行できるもう 1 つのステップは、デバイスのファームウェアを定期的に更新し、セキュリティ パッチがリリースされるたびにインストールすることです。企業は、デバイスに脆弱性が発見された場合に備えて、セキュリティ パッチをリリースすることがよくあります。

したがって、セキュリティ パッチがリリースされるたびにインストールすると、攻撃者に先んじて対処できる可能性があります。 IoT デバイスにリモート アクセスがある場合は、その機能が必要ない場合に備えて、リモート アクセスを無効にすることも検討してください。

その他に講じられる対策としては、ネットワーク アクティビティを定期的に監視することや、IoT デバイスが自宅の重要なネットワークに接続されないようにホーム ネットワークをセグメント化することなどが挙げられます。

結論

Mirai ボットネットの作成者は当局に逮捕されましたが、Mirai ボットネット感染のリスクは依然として存在します。 Mirai Botnet のソース コードが公開されたことで、IoT デバイスをターゲットにし、デバイスをより詳細に制御する、Mirai Botnet の致命的な亜種が作成されました。

したがって、IoT デバイスを購入する際には、デバイスのメーカーが提供するセキュリティ機能を重要な考慮事項にする必要があります。マルウェア感染の可能性を防ぐセキュリティ機能を備えた IoT デバイスを購入します。

さらに、デバイスでデフォルト構成を使用することは避け、デバイスのファームウェアを定期的に更新し、最新のセキュリティ パッチがリリースされるたびにすべてインストールしてください。

サイバー攻撃を迅速に検出して対応するための最適な EDR ツールを検討することもできます。